Los códigos QR se popularizaron como una forma rápida de acceder a enlaces, menús o promociones sin teclear largas direcciones web. En sus inicios, alrededor de 2010, la seguridad de estos códigos no preocupaba demasiado; con el tiempo, los ciberdelincuentes empezaron a utilizarlos para redirigir a páginas de phishing, descargar malware o suscribir a servicios de pago. Hoy, el quishing (phishing por QR) es una amenaza reconocida, y tanto los sistemas operativos móviles como las herramientas de escritorio han incorporado capas de protección. A continuación te explicamos cómo verificar un código QR antes de escanearlo, desde los métodos clásicos hasta las opciones actuales en Windows, macOS, Linux, Android e iOS.
El método original: Unfurlr y las bases de datos de reputación
En la época de Windows 7 y los primeros smartphones, aplicaciones como Unfurlr ofrecían un escáner de QR que no solo leía el código, sino que también expandía las URLs cortas y consultaba bases de datos de reputación para determinar si el enlace era malicioso. Unfurlr utilizaba dos fuentes:
- Web of Trust (WOT): una comunidad de usuarios que votaban la fiabilidad de los sitios. Su utilidad era limitada porque las valoraciones podían ser subjetivas o estar manipuladas.
- StopBadware.org: una base de datos más fiable, respaldada por Google y Mozilla, que alimentaba la navegación segura en los navegadores.
Este enfoque fue pionero, pero presentaba dos problemas: dependía de una aplicación de terceros y la base de datos comunitaria no siempre era precisa. Además, Unfurlr dejó de actualizarse y hoy no es recomendable.
Cómo comprobar un código QR hoy en día
En 2026, la seguridad de un QR se verifica en varias capas, muchas de ellas transparentes al usuario.
En Android
- La cámara de serie (Google Camera o la del fabricante) muestra una vista previa de la URL antes de abrirla. Si el enlace parece sospechoso (dominios acortados sin sentido, caracteres extraños), puedes cancelar la acción.
- Google Play Protect escanea las aplicaciones y los enlaces en busca de malware automáticamente.
- Aplicaciones específicas como Kaspersky QR Scanner (gratuita) o Sophos Intercept X for Mobile analizan el QR y lo contrastan con sus propias bases de datos de amenazas antes de abrir el navegador.
En iOS (iPhone)
- La app Cámara nativa reconoce los QR y muestra una notificación con la URL completa. Mantén pulsado el enlace para previsualizarlo o toca en “Buscar” para ver más detalles.
- Safari integra la navegación segura de Google, que bloquea sitios maliciosos conocidos.
- Para una capa extra, puedes copiar el enlace y analizarlo en VirusTotal (app o web), que lo escanea con decenas de motores antivirus simultáneamente.
En Windows 11/10
- No existe un lector QR nativo en el sistema, pero puedes usar la cámara web con aplicaciones de la Microsoft Store como QR Scanner Plus o, mejor, usar Google Lens integrado en Google Chrome (haz clic derecho en una imagen con un QR y selecciona “Buscar imagen con Google Lens”). Esto extrae la URL y permite copiarla para analizarla.
- Para verificar la seguridad, abre la URL en VirusTotal (virustotal.com) o en servicios como URLVoid. Puedes hacerlo desde cualquier navegador.
En Linux
- Herramientas como zbar-tools (
zbarimg qr.pngen la terminal) decodifican el QR desde una imagen y muestran la URL. Luego, puedes analizarla concurl -Ipara ver las cabeceras y con servicios en línea como VirusTotal. - Entornos de escritorio como GNOME o KDE no incluyen lector QR por defecto, pero aplicaciones como CoBang o QR Scanner (Flatpak) permiten escanear con la webcam y previsualizar el enlace.
En macOS:
- La app Cámara en macOS no lee QR, pero Vista Previa y Quick Look sí pueden interpretarlos si el código está en una imagen. La forma más rápida es usar Google Lens en Chrome o aplicaciones de terceros como QR Journal (gratuita en la App Store).
- Copia la URL y pégala en VirusTotal o en la herramienta de diagnóstico de red
nslookuppara verificar el dominio.
Buenas prácticas antes de escanear cualquier QR
- Observa el entorno: si un QR está pegado sobre otro en una marquesina o en un lugar público, desconfía. Es una técnica común de suplantación.
- Previsualiza siempre la URL: no actives enlaces automáticamente. Si el sistema no muestra la dirección, usa una app que sí lo haga.
- Desconfía de los acortadores: los dominios como
bit.lyotinyurlocultan el destino final. Pega el enlace en un servicio de expansión como unshorten.it o analízalo en VirusTotal. - No introduzcas datos personales: un QR legítimo nunca debería pedir contraseñas, números de tarjeta o información bancaria directamente.
- Mantén el software actualizado: las protecciones de Safe Browsing y Play Protect se actualizan constantemente contra nuevas amenazas.
Listado comparativo
Herramientas de verificación de QR
- Antes (aprox. 2012): Unfurlr, lectores con WOT y StopBadware.
- Ahora (2026):
- Android: Cámara nativa (vista previa), Kaspersky QR Scanner, Google Play Protect.
- iOS: Cámara nativa, Safari (Safe Browsing), VirusTotal.
- Windows: Google Lens en Chrome, VirusTotal, URLVoid.
- Linux: Zbar-tools + VirusTotal, CoBang.
- macOS: Google Lens, QR Journal, VirusTotal.
Método de análisis
- Antes: Consulta a bases de datos de reputación estáticas.
- Ahora: Motores múltiples (VirusTotal), navegación segura integrada en navegadores, análisis heurístico en apps de seguridad.
Prevención de phishing por QR
- Antes: Poca concienciación; se confiaba en el aspecto del código.
- Ahora: Previsualización de URL, detección de patrones maliciosos en el sistema operativo, listas negras actualizadas en tiempo real.
La seguridad de los códigos QR ha madurado a la par que las amenazas. Aunque aplicaciones como Unfurlr abrieron el camino, hoy basta con la cámara del móvil y un poco de precaución para evitar sustos. La regla de oro sigue siendo la misma: mira antes de hacer clic, y si algo te genera dudas, analiza el enlace en una herramienta de confianza antes de abrirlo. Con estos hábitos, los códigos QR seguirán siendo una herramienta práctica y segura.